GrandCrown | В законе Деловой навигатор: налоги, бухучет и право для бизнеса
Клик по фишинговой ссылке: можно ли наказать сотрудника и что оформить заранее
В октябре 2026 года в крупной розничной сети произошла утечка персональных данных клиентов и сотрудников из-за ошибки бухгалтера. Сотрудник непреднамеренно нажал на фишинговую ссылку, что привело к доступу злоумышленников к внутренним базам данных. Руководство компании столкнулось с вопросом: можно ли наказать сотрудника за такую ошибку и как минимизировать последствия для бизнеса? Ответы на эти вопросы требуют глубокого анализа правовых норм и внутренних документов.
Правовые основания и нормативные акты
Защита персональных данных в России регулируется Федеральным законом № 152-ФЗ «О персональных данных». Оператором, то есть компанией, является работодатель, и за нарушения этой нормы он несёт административную ответственность по статье 13.11 Кодекса Российской Федерации об административных правонарушениях. Штрафы могут достигать 100 000 рублей, а при повторных нарушениях — до 1 процента от годового оборота компании.
В то же время, работодатель может привлечь к дисциплинарной ответственности сотрудника, если он заранее подготовил внутренние документы и правильно оформил нарушение. Согласно статье 192 Трудового кодекса РФ, за первую ошибку без тяжёлых последствий возможны замечание или выговор. Увольнение по статье 81 ТК возможно при неоднократном нарушении или если сотрудник сам передал данные постороннему лицу.
Материальная ответственность сотрудника ограничена средним месячным заработком по статье 241 ТК. Полная материальная ответственность по статье 243 ТК применяется только в случае совершения преступления или разглашения охраняемой законом тайны. Однако, по практике судов, к ущербу не относятся административные штрафы, наложенные на работодателя.
Риски и споры в трудовых отношениях
Споры между работодателем и сотрудником могут возникнуть в двух основных формах. Во-первых, если сотрудник утверждает, что не знал о правилах информационной безопасности или не был ознакомлен с внутренними документами. Во-вторых, если работодатель пытается взыскать с сотрудника часть штрафов, наложенных за нарушение.
Суды часто отказывают в взыскании сумм, превышающих среднемесячный заработок сотрудника. Это связано с тем, что доказательства, подтверждающие вину сотрудника, часто отсутствуют или недостаточны. Например, не доказана связь между действиями работника и произошедшей утечкой, или не зафиксированы действия сотрудника в протоколах расследования.
Также важно, чтобы в протоколах и решениях надзорных органов упоминался сотрудник как участник нарушения. Без этого суд может признать взыскание незаконным.
Что нужно оформить заранее
Чтобы минимизировать риски и повысить шансы на успешное привлечение сотрудника к ответственности, компания должна заранее подготовить следующие документы:
- Положение об обработке персональных данных;
- Положение о коммерческой тайне;
- Положение об информационной безопасности;
- Обязанности по соблюдению локальных актов в трудовых договорах и должностных инструкциях;
- Журнал инструктажей и ознакомления под роспись;
- Формы документов для фиксации нарушения: служебная записка, приказ о расследовании, акт об итогах расследования, запрос объяснений.
Важно, чтобы сотрудник был ознакомлен с локальными документами под роспись, и желательно использовать формулировку «ознакомлен и согласен». В трудовых договорах и должностных инструкциях должны быть четко указаны обязанности по соблюдению правил обработки персональных данных и защиты информации.
Рекомендуется также разработать отдельный локальный акт о применении ИИ-сервисов, определив, какие сервисы разрешены, какие данные можно загружать и как исключить чувствительную информацию.
Главный принцип
Суд оценивает не сам инцидент, а то, что компания сделала до него. Если к моменту утечки есть журнал ознакомления с локальными актами, грамотно оформленные трудовой Договор и должностная инструкция, а также корректная фиксация вины работника, то работодатель может оперативно уволить сотрудника и взыскать часть ущерба.
При проверке со стороны надзорного ведомства можно добиться, чтобы Штраф был наложен не на компанию, а на самого сотрудника как должностное лицо. Если же ничего из вышеперечисленного не сделано, сотрудник сохранит работу, а штрафы придется платить компании.
Похожие статьи: